OpenAI Operator 是 OpenAI 于 2025 年 1 月推出的自主网页操作 Agent，也是 OpenAI 在 Agent 方向上首个面向大众的独立产品。它由 CUA（Computer-Using Agent，计算机使用代理）模型驱动：模型先“看”网页截图，再输出点击、输入、滚动等鼠标键盘动作，执行后继续截图决策，如此循环直到任务完成。用户无需编程，用自然语言描述目标——“预订周五晚上的餐厅”“对比三款显卡的价格”——Operator 就会在云端沙箱浏览器中一步步完成。对 AI 从业者而言，Operator 是理解“大模型从对话走向行动”的代表产品：不写代码、不依赖 API 对接，仅靠视觉与操作闭环完成真实互联网任务，且其安全机制（敏感操作审批、提示注入检测）已成为 Agent 产品的行业范本。本文按速览、安装、上手、能力详解、生产实践、选型、避坑、面试的顺序，提供一份可直接落地的全攻略。
掌握 Operator 及其背后的 CUA 模式，等于理解大模型从“会聊天”到“会办事”的关键一跃——它是 RAG 之外最贴近真实商业场景的 Agent 落地样本。
目录
速览卡是工具类内容的固定首屏模块：30 秒判断「这工具是什么、能不能商用、适不适合我」。
为什么需要 Operator：网页自动化从“写脚本”到“说人话”
Operator 出现之前，网页自动化有两条主流路线，各有硬伤。第一条是写代码自动化：用 Playwright、Selenium、Puppeteer 等框架定位页面元素（CSS 选择器、XPath）再编写操作脚本，工程门槛高，且异常脆弱——网站一次改版，选择器就要跟着修；遇到 React/Vue 动态渲染的页面，脚本调试成本进一步上升。第二条是 RPA 录制回放：录制鼠标键盘动作实现“无代码”自动化，但同样高度依赖界面稳定，页面结构一变就失灵。两条路线的共同痛点是：它们都在和“页面的具体实现”较劲，而不是理解“用户在这个页面上要达成什么目标”。
Operator 换了一个思路：让多模态大模型直接看网页截图，自己决定下一步动作。它由 CUA 模型驱动——每轮循环都是“截图→理解页面→输出一个动作（点击/输入/滚动/下拉）→执行→再截图”，直到目标完成。用户全程只描述结果，例如“在这家酒店官网查下周六大床房的含税价”。底层 CUA 在 GPT-4o 视觉能力基础上，经“离线学习（行为克隆+自监督动作预测）+ 在线强化学习”两阶段训练而成。
与传统方案的气质差异在于：传统自动化把网页当“需要精确寻址的界面”，Operator 把网页当“需要理解的画面”。界面改版不再导致脚本失效，语义模糊的指令也能执行（“选评价好但别太贵的那家”这种话脚本根本写不出来）。代价是输出不确定性更高、执行速度偏慢，必须靠安全审批机制兜底——这正是云端沙箱、敏感操作确认这些设计的由来。
安装与环境配置：4 步就绪
1. 准备账号与套餐：在 [openai.com](https://status.openai.com) 注册或登录 ChatGPT 账号。Operator 是订阅权益：2025 年 1 月首发时仅美国区 Pro（200 美元/月）可用，2025 年 3 月起陆续向 Plus（20 美元/月）、Team、Business、Edu 开放。免费账号无入口。
2. 打开入口：浏览器访问 [chatgpt.com/operator](https://chatgpt.com) 并登录，或登录 ChatGPT 后通过界面入口进入 Operator。任务全部在云端执行，本机无需安装任何组件。
3. （可选）安装桌面 App：macOS 用户可从官网下载 Operator 桌面 App，安装后登录同一账号。桌面版可在本地浏览器中执行任务，过程直接可见、便于接管。
4. 验证：在任务输入框输入“搜索明天北京到上海最早的三班高铁及票价”并启动。若云端浏览器开启、任务卡片开始逐步执行，即环境就绪。
快速上手：5 分钟跑通第一个任务
最小可用流程是“输入任务→观察执行→处理审批→拿到结果”，跑通一次就能理解 Agent 的工作节奏。
1. 进入 Operator 界面，在任务输入框中把约束写具体：“请查询本周六上海到杭州、上午 9 点到 12 点出发的动车，列出车次、出发到达时间和票价”。
2. 点击发送/开始。Operator 启动云端浏览器，开始“看页面→决策→操作”循环，每一步点击、输入、滚动都实时展示。
3. 耐心观察：每个动作间有明显停顿（模型推理 + 页面加载），属于正常现象。
4. 遇到敏感操作（登录、支付、发邮件等）会弹确认框：点“批准”继续，点“拒绝”跳过该步。
5. 任务完成后阅读结果摘要；不满意可直接追加“换成备选方案”等指令继续调整。
6. 进阶：把常用任务保存为定时任务，之后由任务库按周期自动触发。
两个常用控制：任意时刻可用快捷键暂停任务（Windows 为 Shift+Ctrl+O，macOS 为 Shift+Command+O）；点击“接管”进入 Takeover Mode 手动操作浏览器，操作完成后可交还 Agent 继续执行。
核心能力详解：5 大支柱
支柱一：CUA 模型——“看得见、动得了”的操作闭环。 CUA 是 Operator 的模型核心：输入网页截图，输出导航类动作（点击、键入、滚动、下拉选择）或完成类动作（宣告任务结束）。官方基准：WebArena 端到端成功率 58.1%、WebVoyager 真实网站任务成功率 87%、OSWorld 桌面 GUI 操作 38.1%，均超过发布时业界最优。这套范式与写死脚本不同：不是对特定页面的固定操作序列，而是每帧画面重新决策的通用操作能力。
支柱二：云端沙箱浏览器——隔离的执行环境。 任务在 OpenAI 托管的云端 Chromium 浏览器中运行，与本地环境隔离，防止 Agent 误操作本地文件、读取本地隐私。用户在任务中可随时进入 Takeover Mode 接管同一个浏览器手动操作，Agent 会继续观察，交接后可接着自动执行。
支柱三：敏感操作审批 + 提示注入检测。 登录、支付、发送消息等敏感操作会被模型识别并暂停，弹出确认请求，批准后才继续。针对提示注入攻击（恶意网页通过隐藏文本诱导 Agent 执行非预期操作）内置检测，发现可疑指令会在界面告警；OpenAI 还发布了 Operator System Card（安全系统卡）公开风险评估。
支柱四：多任务并行与任务库。 支持同时运行多个任务，每个任务独立浏览器会话；一次下达多个任务时按队列执行。常用任务可保存为任务并设定“每小时/每天/每周”周期自动运行，适合盯价格、查库存、填日报等重复场景。
支柱五：桌面 App 与 ChatGPT 生态集成。 2025 年 8 月发布的 macOS 桌面 App 把执行环境从云端浏览器扩展到用户本地浏览器，任务在眼前执行、介入成本更低。Operator 与 ChatGPT 共用账号体系，任务记录保存在会话中，便于追溯与复用。
生产部署与监控：从上线到运维
部署方式一（个人/小团队）：直接用官方 SaaS。 订阅 Plus/Pro 后即用，零基础设施。适合个人事务自动化和小团队的重复网页操作。运维要点：确认所在地与套餐可用性；并行任务数量与账号档位相关，批量任务注意排队；关键任务设置“人工复核”制度——Agent 只负责执行，账号级操作一律停在审批节点。
部署方式二（团队/企业）：用 Business/Edu 套餐统一管理。 管理员可在组织后台管理成员对 Operator 的使用。若企业需要把网页操作嵌入自有数据流水线，Operator 作为封闭 SaaS 不提供私有化与细粒度 API，应改用 OpenAI Responses API 的 computer use 工具或 Anthropic Computer Use 自行编排。
可观测性。 每条任务执行过程实时可见、可暂停、可接管，历史记录与结果保存在 ChatGPT 会话中可回放；OpenAI 提供公开状态页（https://status.openai.com）查询服务可用性。生产建议：为任务设定明确成功标准（如"下单后截图确认页"），并在敏感步骤保留人工确认节点。
<p class="para-label">避坑清单：</p>
<ul class=“dash-list“><li>执行速度远慢于预期：每一步都要”截图→推理→操作“，10 步内简单任务约 3-5 分钟，跨站复杂任务可达 10-20 分钟，务必预留时间预算。</li><li>反爬与验证码是硬门槛：Cloudflare 等强风控站点常拦截云端浏览器，遇到 CAPTCHA 时 Operator 会暂停请你手动验证，此类站点不适合高频自动化。</li><li>敏感操作必须人工确认：登录、支付、发邮件不是全自动，设计流程时必须预留审批环节，不要承诺”完全无人值守”。</li><li>提示注入防不胜防：恶意网页可用隐藏文字诱导 Agent，官方有检测与告警但不保证 100%，涉及账号操作务必人工复核。</li><li>账号与地域限制：首发仅美国区 Pro，3 月后才逐步开放，部分国家仍不可用，部署前先在目标网络环境实测。</li></ul>
| 维度 | OpenAI Operator | Anthropic Computer Use | Manus | Google Project Mariner |
|---|---|---|---|---|
| 定位 | 面向 ChatGPT 用户的自主网页操作 Agent | 面向开发者的计算机操作 API（Beta） | 通用自主 Agent（异步任务） | Chrome 扩展形态的网页研究 Agent |
| 交付形态 | 云端浏览器 SaaS + macOS 桌面 App | API/SDK，需自建执行环境 | Web 平台异步任务 | Chrome 扩展（研究预览） |
| 底层模型 | CUA（GPT-4o 视觉 + 强化学习） | Claude 3.7 Sonnet 等 | 多模型协作编排 | Gemini 系列 |
| 敏感操作 | 自动暂停，人工确认 | 需开发者自行实现 human-in-the-loop | Agent 自主执行，可中途接管 | 受限站点拦截，需人工确认 |
| 使用成本 | ChatGPT 订阅（Pro 200 美元/月等） | API 按 Token 计费 | 订阅制（积分） | Gemini Advanced 订阅 |
| 学习曲线 | 低：自然语言直接用 | 高：需编码编排 | 低：网页提交任务 | 低：安装扩展即用 |
| 生产部署 | 官方托管 SaaS，无私有化 | 可嵌入自有产品与生产流程 | 官方平台托管 | 官方扩展，未开放私有部署 |
| 适合谁 | 个人与团队的日常网页事务 | 开发者、AI 工程团队 | 需异步长任务的用户 | Chrome 重度用户与研究者 |
选型建议：日常事务自动化（订餐、比价、填表、信息收集）首选 Operator——订阅 ChatGPT 即用，安全审批机制最完善；要把“操作电脑”能力嵌入自有产品、走自动化流水线，选 Anthropic Computer Use（API 形态可编程）；需要异步长耗时任务或在国内网络环境使用，可看 Manus；Chrome 内轻量研究辅助则 Project Mariner 足够。核心取舍是“你愿不愿意写代码、任务是否要异步、数据走哪个云”。
版本迭代
Operator 的演进主线是“先解决谁能用，再解决在哪执行”——2025 年 1 月以 CUA 模型研究预览首发，仅美国区 Pro 可用；3 月向全部订阅套餐放量并提升执行性能；8 月发布桌面 App，执行环境从云端浏览器扩展到本地浏览器。（截至训练资料确认的正式版本记录，后续可能有更新发布。）
| 版本 | 时间 | 变化 | 提升 |
|---|---|---|---|
| Research Preview | 2025-01 | 首次公开亮相 | CUA 模型驱动，云端沙箱浏览器执行，仅美国区 ChatGPT Pro 可用 |
| 订阅全面开放 | 2025-03 | 向 Plus/Team/Business/Edu 放量 | 扩展至更多国家与地区，官方称执行速度与可靠性提升，支持多任务并行与队列 |
| 桌面 App（macOS） | 2025-08 | 全新桌面客户端 | 可操作本地浏览器，支持任务排程与多任务窗口，分阶段向各订阅档位开放 |
| 基准 | Research Preview（2025-01） | 订阅全面开放（2025-03） | 桌面 App（2025-08） | |
|---|---|---|---|---|
| WebArena 端到端成功率 | 58.1% | — | — | 官方发布时公布，超过此前业界最优 |
| WebVoyager 真实网站任务 | 87% | — | — | 官方发布时公布 |
| OSWorld 桌面 GUI 操作 | 38.1% | — | — | 官方发布时公布 |
两个版本节点后官方未再公布新的公开基准分数，3 月放量时以“速度与可靠性提升”表述；选型上无需纠结版本差异——个人用户直接用网页版即可，需要本地可见、可接管的执行体验时安装桌面 App。三个基准分数常被混用：WebVoyager 87% 是真实网站成绩，WebArena 58.1% 是受限测试环境，OSWorld 38.1% 是桌面操作，引用时务必区分。
AI 应用场景
场景一：旅行与生活预订
阶段：Agent 编排 / 多步骤网页操作
解决的问题：预订横跨搜索、比价、填表、下单多个环节，传统自动化需为每个网站写脚本且改版即失效；人工操作则要在多个标签页之间反复切换核对。Operator 用自然语言驱动完整流程，视觉理解界面使其对网站改版不敏感。
具体案例：向 Operator 下达“在 OpenTable 找本周五晚 7 点、2 人位、人均 50 美元以内的意大利餐厅，给 3 个选项”。Agent 自动打开网站、应用筛选、浏览列表并汇总结果，用户确认后由 Agent 完成预订。全程无需安装软件，单次任务约 5-15 分钟（取决于目标网站响应速度），人工操作时间由“十几分钟”压缩为“一次指令+最终确认”。
场景二：批量信息收集与竞品比价
阶段：网页信息抽取与整理
解决的问题：市场调研需逐站收集价格、库存、评价，人工复制粘贴效率低且易漏；Operator 可并行运行多个任务，各任务独立浏览器会话，互不干扰。
具体案例：运营人员同时发起 3 个任务，分别查询同一商品在不同平台的售价与库存，再汇总做最终决策。相比人工逐站搜索、打开、记录，并行任务可减少约一半的盯屏时间（效果受站点响应速度影响；支付/登录类步骤仍需人工确认）。
场景三：重复性表单与定时事务
阶段：定时任务自动化 / 任务队列
解决的问题：日报填写、库存盯梢、定期比价等高频重复操作，每次都要人工重做，耗时且容易遗忘。
具体案例：把“每周五 17:00 登录内部系统填写本周周报并抄送主管邮箱”保存为定时任务，Operator 每周自动执行；执行到“发送邮件”这一敏感步骤时暂停，用户确认后完成。相比手动填写，省去每周约 10 分钟的机械操作，且不再因遗忘而漏报。
常见误区
误区“我一直以为升级了会员就能让 Operator 替我做所有事，包括登录我的网银、转账，全程不用管。”
正解Operator 是自主网页操作 Agent，能完成订餐、比价、填表等多步骤任务，但涉及登录、支付、发邮件等敏感操作时必须人工确认；网站验证码、反爬机制也可能直接卡住任务。它的定位是“需要你在关键节点把关的远程操作员”，不是“全自动机器人”。
为何常见：官方宣传演示通常剪掉了等待和确认过程，展示的是流畅的自动操作，用户容易忽略审批节点与站点限制。
误区“AI 执行网页操作肯定比我手点快几十倍，几秒钟就完事。”
正解正相反，Operator 每一步都要“截图→识别→决策→模拟操作→等页面加载”，速度接近甚至慢于真人。一个 10 步以内的任务通常要 3-5 分钟，跨站复杂任务可达 10-20 分钟。它的价值在于并行与省心——同时开多个任务，把人工盯屏时间省出来。
为何常见：ChatGPT 文字问答的秒回速度形成了认知锚点，让人误以为网页操作也是即时响应，实则网页操作是慢流程。
误区“我升级了 Plus 会员，为什么还是找不到 Operator 入口？”
正解Operator 发布初期（2025 年 1 月）仅限美国区 ChatGPT Pro（200 美元/月）订阅，2025 年 3 月才逐步向 Plus、Team、Business、Edu 及更多国家开放。需要在账号区服、订阅套餐、当前所在地三者同时满足的条件下才有入口。
为何常见：OpenAI 的发布节奏是“小范围预览→逐步放量”，媒体报道与实际可用范围之间存在时间差。
误区“OpenAI 自家的 Agent 应该能自动过验证码，访问任何网站都不受限。”
正解Operator 遇到 CAPTCHA 时会暂停并请求用户手动完成验证，而不是自动破解；被 Cloudflare 等强风控拦截时任务可能直接失败。它能操作的是“允许自动化浏览器访问的页面”，法律与技术限制一个不少，不是万能越狱工具。
为何常见：“自主 Agent”的营销叙事容易让人高估其绕过访问控制的能力，而它本质上仍是浏览器，受限规则同样适用。
误区“Operator 是 OpenAI 官方托管的，安全他们全包了，我可以放心把账号密码交给它。”
正解OpenAI 确实做了大量安全投入（敏感操作审批、提示注入检测、System Card 安全评估），但提示注入攻击（恶意网页通过隐藏文本诱导 Agent 执行非预期操作）无法 100% 消除。用户仍需：不把 Operator 用于高权限账号的重要操作、遇到可疑页面立即暂停接管、对 Agent 的“自主决定”保持人工复核。
为何常见：官方托管让用户产生“安全外包”的错觉，但 Agent 的权限本质是“你的账号+整个互联网”，攻击面远大于普通浏览。
面试题
Q1. OpenAI Operator 的核心驱动模型是哪一项？
- A.DALL·E 3（文生图模型）
- B.CUA（Computer-Using Agent）← 正确答案
- C.Whisper（语音识别模型）
- D.GPT-4o mini（轻量多模态模型）
答案：B。Operator 的底层模型是 CUA（Computer-Using Agent，计算机使用代理），接收网页截图、输出鼠标键盘动作，形成“看屏-操作”闭环。DALL·E 3 是图像生成模型，Whisper 是语音识别模型，GPT-4o mini 是通用轻量模型，均不承担网页操作。
Q2. Operator 在 2025 年 1 月首次发布时，仅向哪类用户开放？
- A.全部 ChatGPT 免费用户
- B.美国区 ChatGPT Pro 订阅用户← 正确答案
- C.全球 ChatGPT Plus 订阅用户
- D.OpenAI API 注册开发者
答案：B。Operator 以 Research Preview 形式首发，仅限美国区 ChatGPT Pro（200 美元/月）订阅。2025 年 3 月才向 Plus、Team、Business、Edu 等套餐和更多国家放量，免费用户与 API 开发者均不在首批范围。
Q3. Operator 任务默认在哪种环境中执行？
- A.用户本地 Chrome 浏览器
- B.云端沙箱浏览器（Chromium）← 正确答案
- C.用户移动端 ChatGPT 客户端
- D.OpenAI 机房内的命令行终端
答案：B。Operator 默认执行环境是 OpenAI 托管的云端 Chromium 沙箱浏览器，与本地环境隔离。2025 年 8 月桌面 App 新增“本地浏览器执行”选项，但属可选项；默认架构仍是云端。命令行终端形态与 CUA 的 GUI 操作对象不符。
Q4. 以下哪些操作会触发 Operator 暂停并请求用户确认？
- A.登录需要账号的网站← 正确答案
- B.填写并提交支付信息← 正确答案
- C.滚动页面查看当前内容
- D.发送邮件或即时消息← 正确答案
答案：ABD。OpenAI 将登录、支付、发送消息等定义为敏感操作，执行前必须获得用户批准；滚动、点击、搜索等常规导航动作自动执行，不触发确认。这是 Operator“人在环”安全设计的关键。
Q5. 与传统浏览器自动化框架（Playwright/Selenium）相比，Operator 的核心差异是什么？
- A.基于视觉理解界面，无需编写选择器← 正确答案
- B.基于 HTML DOM 结构精确定位元素
- C.依赖本地浏览器扩展驱动页面
- D.需要人工逐步编写操作脚本
答案：A。Playwright/Selenium 依赖 CSS 选择器与 XPath 定位元素，网页改版即失效；Operator 的 CUA 模型直接“看”截图决策，界面结构变化不影响执行。B 是传统框架的做法，C/D 描述的是其他自动化路线，均非 Operator 的架构特征。
Q6. 根据 OpenAI 发布报告，CUA 模型在 WebArena 基准上的端到端成功率约为多少？
- A.约 18%
- B.约 38%
- C.约 58%← 正确答案
- D.约 87%
答案：C。官方报告显示 CUA 在 WebArena 端到端任务上达到 58.1%，显著超过此前业界最优。38.1% 是 OSWorld（桌面 GUI 操作）成绩，87% 是 WebVoyager（真实网站操作）成绩，三个基准不要混淆。
Q7. 关于 Operator 的任务管理能力，以下说法正确的有哪些？
- A.支持同时并行运行多个任务← 正确答案
- B.可将常用任务保存为定时任务← 正确答案
- C.执行过程无法中途查看或干预
- D.任务历史与结果可在会话中回看← 正确答案
答案：ABD。Operator 支持多任务并行、任务库与定时执行，每个任务过程实时可见、可暂停、可接管，记录保存在 ChatGPT 会话中供回看。C 与官方能力完全相反。
Q8. 任务执行中想临时接管浏览器手动操作，应使用哪种方式？
- A.Takeover Mode（接管模式）← 正确答案
- B.关闭浏览器再重新发起任务
- C.修改任务描述文本重新执行
- D.在输入框追加新的指令要求
答案：A。Operator 提供接管模式（Takeover Mode）：用户可在执行中的浏览器里直接手动操作，Agent 继续观察，完成后交接继续自动执行。关闭重开、改描述、追加新指令都不是官方定义的“接管”机制。
Q9. Operator 桌面 App（2025 年 8 月，macOS）相比网页版的核心新增能力是什么？
- A.可操作本地浏览器中的页面← 正确答案
- B.产品源码转为完全开源
- C.无需登录 OpenAI 账号
- D.纯离线运行，不消耗云端算力
答案：A。桌面 App 把执行环境从“云端浏览器”扩展到“用户本地浏览器”，任务全程在眼前执行，监督与介入成本更低。它仍是闭源、需登录、依赖云端模型推理的 SaaS 产品，B/C/D 均与事实不符。
Q10. 关于 CUA 模型的训练方式与 Operator 的安全机制，以下说法正确的有哪些？
- A.训练采用“离线学习+在线强化学习”两阶段← 正确答案
- B.内置提示注入检测，识别后在界面告警← 正确答案
- C.完全依靠人工逐步标注全部训练数据
- D.敏感操作审批是防误操作与滥用的一道防线← 正确答案
答案：ABD。CUA 先经行为克隆与自监督动作预测做离线学习，再经在线强化学习优化策略，A 正确；Operator 内置提示注入检测并发布 System Card 安全评估，B 正确；训练并非纯人工标注，自监督与强化学习是重要组成，C 错误；敏感操作审批保证关键动作“人在环”，D 正确。
参考来源
- webpageOperator 产品主页功能总览与桌面 App 下载入口
- webpageOperator 在线入口登录后直接发起任务的地址
- webpageOpenAI 官方 YouTube 频道官方演示与功能发布视频